Spring Security使用

Spring Security的起点

1. 在AbstractApplicationContext.refresh()方法时，子类ServletWebServerApplicationContext会创建一个ServletContextInitializerBeans这个Bean对象
2. ServletContextInitializerBeans在执行addServletContextInitializerBeans()时会使用BeanFactory去查找ServletContextInitializer类型的Bean，这时会找到DelegatingFilterProxyRegistrationBean这个bean对象
3. DelegatingFilterProxyRegistrationBean会往ServletContext注册DelegatingFilterProxy对象，对象包含了filter的默认名称springSecurityFilterChain，可以看成这个DelegatingFilterProxy对象就是一个Filter，它又包含了filterChain，相当于又做了一层包装
4. DelegatingFilterProxy使用filter的名字（springSecurityFilterChain）在BeanFactory中查找该filter对象
5. 后续请求来时，会先进入DelegatingFilterProxy这个外层的Tomcat Filter，然后它再把请求传给springSecurityFilterChain这个内部的Filter Chain进行处理
6. 默认的springSecurityFilterChain对象定义在org.springframework.boot.autoconfigure.security.servlet.SpringBootWebSecurityConfiguration.SecurityFilterChainConfiguration#defaultSecurityFilterChain
7. 我们一般要重写这个filterChain的定义

过滤链的流程大致如下：

---

FilterChain重写

一般来说，filterChain是我们需要重写的，我们的应用是无法直接使用默认filter的配置

1. Configuration类需要添加@EnableWebSecurity，才会有HttpSecurity对象。
2. 重写主要是对HttpSecurity对象进行设置，FilterChain里的Filter配置，来自于HttpSecurity中的各个Configurer，例如CsrfConfigurer用于创建CsrfFilter，FormLoginConfigurer用于创建UsernamePasswordAuthenticationFilter，一般都是在Configurer.configure()方法中创建并添加各种filter的。
3. HttpSecurity中的formLogin(Customizer)或者是csrf(Customizer)方法，Customizer是一个函数式表达式，提供让我们对这些Configurer进行自定义，就是HttpSecurity会自己创建好各种Configurer，但是还提供了方法让我们去修改这些Configurer的配置，如果不需要进行修改，就传入Customizer.withDefaults()就可以了，它默认直接返回configurer，不做修改。
4. 如下图，formLogin(formLoginConfigurer->{})可以对formLoginConfigurer的配置进行修改，里面我就修改了loginProcessingUrl，这样在请求/user/login时，它创建的UsernamePasswordAuthenticationFilter会判断，如果当前请求的路径跟该路径匹配，就会走验证用户名密码的逻辑，它的默认路径是/login，我的应用程序的登录接口是/user/login，两者不匹配是不会走用户名密码验证逻辑的。
5. 同时formLogin修改了usernameParameter跟passwordParameter，UsernamePasswordAuthenticationFilter会从请求中使用这两个名称从request中获取用户名跟密码去进行校验，默认值是"username"跟"password"，如果请求参数跟这两个值不匹配，那么获取到的用户名密码就是null，后面的验证逻辑就走不下去了，这些默认值跟程序不匹配的地方都需要修改。
6. 还有csrf，这里为了方便测试接口，不让CsrfFilter因为我没有token拦截我的请求，我修改让它对所有请求都忽略。
7. HttpSecurity中有很多配置Configurer类的方法，可以根据需要自行修改，这里只是举例修改了其中两个，还有Configurer可以注册一个到多个Filter，Configurer跟Filter不仅仅是一对一的关系，各个Filter的功能都不一样，修改的配置也不一样，需要自己测试修改适配自己的程序，没有什么好的捷径。

@Configuration
@EnableWebSecurity
public class SecurityConfiguration {
   

    @Bean
    @Order(SecurityProperties.BASIC_AUTH_ORDER)
    SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
   
        http.authorizeHttpRequests((requests) -> requests.anyRequest().authenticated())
                .formLogin(c->{
   
                    c.loginProcessingUrl("/user/login");
                    c.usernameParameter("userName");
                    c.passwordParameter("password");
                })
                .httpBasic(withDefaults())
                .csrf((t) -> {